windows - Windows API dll 中的函数序号索引是否发生过更改？

Question

您知道 dll 中的函数可以按名称或序号索引导入。

From wikipedia: For most Windows API functions only the names are preserved across different Windows releases; the ordinals are subject to change. Thus, one cannot reliably import Windows API functions by their ordinals.

我的问题:我知道这些序数可能会改变，但我想知道它们是否真的改变过。 (特别是关于 kernel32 和 user32 dll)

我为什么要问这个？我听说有些病毒会按序号导入 win32 函数。我想捕获他们，我想知道我是否可以测试序数。

谢谢。

Answer 1

这个问题很容易回答，答案是是。只需要两个版本的 kernel32.dll 并用 PE 查看器查看它们。

例如左边是Windows 7的kernel32.dll，右边是Windows Vista的kernel32.dll。你可以看到 AddIntegrityLabelToBoundaryDescriptor 的添加导致它下面的函数的序数与 Vista 相比增加了 1。

我不明白您为什么要使用此信息来捕获病毒。病毒可以使用许多其他方法来获取函数的地址。